Cloudflare kondigde op 29 september 2026 aan een publieke certificaatautoriteit te willen opzetten voor gewone TLS-certificaten en Merkle Tree Certificates (MTC’s). Bij de aankondiging was de uitgifte nog niet begonnen. Cloudflare mikt op productie-uitgifte van MTC’s in begin 2027 en zegt dat de standaarduitgifte kosteloos moet worden.
Cloudflare plant quantumveilige TLS-certificaten
De geplande certificaatautoriteit moet zowel conventionele certificaten als MTC’s uitgeven, met één levenscyclus en dezelfde garanties. Zo wil Cloudflare een geleidelijke overstap mogelijk maken, zonder dat klanten in één keer hun bestaande certificaten hoeven te vervangen.
Cloudflare heeft een overeenkomst gesloten om een bestaande, breed vertrouwde certificaatroot van GlobalSign over te nemen. Ook heeft het bedrijf aanvragen ingediend bij de rootprogramma’s van Chrome, Apple, Microsoft en Mozilla. De overeenkomst en aanvragen zijn aangekondigd; Cloudflare heeft ze niet als afgeronde stappen beschreven.
Zo werkt een Merkle Tree Certificate
Cloudflare beschrijft een MTC als een certificaat dat met een compact inclusiebewijs verwijst naar een ondertekend overzicht van een Merkle-boom. Zo’n boom bundelt certificaten in een logboek dat alleen kan worden uitgebreid. Een client controleert met het bewijs of het certificaat in dat logboek is opgenomen.
Bij een gewone certificaatketen verstuurt een TLS-handshake meerdere certificaat- en handtekeninggegevens. De MTC-aanpak koppelt uitgifte direct aan het transparantielogboek. Cloudflare beschrijft twee vormen: zelfstandige certificaten en landmark-relatieve certificaten. Bij die laatste kunnen updates van een landmark buiten de handshake om worden verspreid.
De geplande dienst wordt ACME-first. ACME is een protocol waarmee servers certificaten automatisch kunnen aanvragen en vernieuwen. Cloudflare zegt dat abonnees ook ACME Renewal Information (ARI) moeten ondersteunen.
Wat het Chrome-experiment van Cloudflare mat
In een experiment met Chrome Beta 146 serveerde Cloudflare MTC’s aan 50% van de bèta voor geselecteerde Cloudflare-domeinen op het gratis abonnement. Het bedrijf meldde dat het tijdens de proef miljarden MTC’s had verstrekt.
Cloudflare rapporteerde voor landmark-MTC-handshakes een verbetering van 9% bij de mediaan ten opzichte van een keten met klassieke handtekeningen. Volgens het bedrijf kwam het grootste deel van de winst doordat tussenliggende certificaten werden weggelaten. De proef gebruikte klassieke handtekeningen: de gemeten verbetering was dus geen prestatietest van postkwantumhandtekeningen.
Cloudflare meldde dat het in augustus 2026 was begonnen de Chrome-proef af te bouwen.
De planning en de beoogde kosteloze uitgifte
Cloudflare richt zich op begin 2027 voor de eerste productie-uitgifte van MTC’s. De standaarduitgifte moet volgens het bedrijf kosteloos zijn. Het gaat om een toekomstige dienst; bij de aankondiging op 29 september 2026 was Cloudflare nog niet met de uitgifte begonnen.
